Ashley Madison: wyciek ujawnił 36 mln kont użytkowników

Hakerzy opublikowali w 2015 roku dane około 36 mln kont Ashley Madison. Organy nadzorcze w Kanadzie i Australii uznały zabezpieczenia za niewystarczające, a operator zapłacił 1,6 mln dolarów w ramach ugody w USA.

Co się stało

W lipcu 2015 roku grupa nazywająca się „The Impact Team” ogłosiła, że zhakowała Avid Life Media, firmę stojącą za Ashley Madison. W sierpniu 2015 roku opublikowała dane około 36 mln kont użytkowników, w tym dane profilowe, adresy e-mail i część informacji rozliczeniowych. Wspólne dochodzenie organów ochrony prywatności Kanady i Australii wykazało, że firma nie miała udokumentowanych polityk bezpieczeństwa, procesu zarządzania ryzykiem ani odpowiedniego szkolenia pracowników. Stosowała też zdalny dostęp oparty na jednym czynniku oraz przechowywała hasła i klucze jako zwykły tekst. Organy nadzorcze skrytykowały ją także za przechowywanie danych bez ograniczenia czasowego i pobieranie od użytkowników opłat za ich usunięcie. W grudniu 2016 roku operatorzy zawarli ugodę w sprawie zarzutów amerykańskiej Federalnej Komisji Handlu (FTC) i stanów. Zgodzili się na program bezpieczeństwa i zapłacili 1,6 mln dolarów.

Co jest udokumentowane

• Biuro Komisarza ds. Prywatności Kanady i Australijski Komisarz ds. Informacji: zabezpieczenia niewystarczające; naruszenia kanadyjskiego i australijskiego prawa o ochronie prywatności; przyjęto porozumienie o zgodności i wykonalne zobowiązanie (sierpień 2016).
• Ten sam raport: poszkodowani użytkownicy otrzymywali po wycieku e-maile z szantażem.
• FTC: operatorzy zawarli ugodę w sprawie zarzutów wprowadzających w błąd i nieuczciwych praktyk w zakresie bezpieczeństwa, w tym zachowywania danych użytkowników, którzy zapłacili 19 dolarów za „Full Delete” (pełne usunięcie); łącznie zapłacono 1,6 mln dolarów (grudzień 2016).

Czego nie ustalono

• Kto stał za atakiem.
• Pełny zakres tego, do czego atakujący uzyskali dostęp, ponieważ logi zostały wymazane.

Co to oznacza dla ciebie

1. Rejestruj się w wrażliwych serwisach przy użyciu osobnego adresu e-mail, który nie zdradza Twojego imienia i nazwiska.
2. Sprawdź przed rejestracją, jak serwis usuwa Twoje dane i czy usunięcie jest płatne.
3. Jeśli po wycieku dostaniesz e-mail z szantażem, nie płać; zgłoś to policji.